La transformation numérique modifie en permanence l'architecture technologique des entreprises. Ce qui était autrefois des périmètres sécurisés et contrôlés de manière centralisée, des terminaux fournis par l’entreprise et une infrastructure sur site s’est transformé en un réseau tentaculaire — et en constante expansion — de services logiciels, d’infrastructures cloud et de services applicatifs décentralisés.
Pour vous en convaincre, il suffit de suivre la piste de l'argent. Selon le cabinet d'études Futurum, les entreprises consacrent désormais quelque
700 milliards de dollars par an à des projets de transformation numérique. Non seulement une entreprise type dispose de plus de 200 applications activement utilisées, mais 60 % de ces applications sont renouvelées tous les deux ans, selon les études menées par cette société. Cela signifie que d'ici 2023, 60 % des applications utilisées aujourd'hui auront été remplacées.
C'est un taux stupéfiant, qui préoccupe désormais les organisations en raison des défis d' qu'il pose en matière de cybersécurité. « Toutes ces évolutions rapides ont bouleversé les approches traditionnelles en matière de sécurité », explique Andy Ellis, responsable conseil en sécurité des systèmes d’information (CISO) chez Orca Security, une entreprise spécialisée dans la sécurité du cloud, et ancien directeur de la sécurité chez Akamai Technologies, une société spécialisée dans la sécurité Web. « La solution ne consiste pas à mobiliser davantage de personnel pour résoudre ce problème. » « Cela n'est pas évolutif. »
Afin de suivre le rythme des efforts de transformation numérique rapide de leur organisation et d’atténuer les problèmes de sécurité, les DSI et les RSSI d’ devraient adopter ces cinq bonnes pratiques.
Intégrer la sécurité dans la transformation numérique
On a du mal à croire qu’il faille encore le rappeler, mais les équipes de sécurité doivent être associées dès le début à toute nouvelle initiative numérique. Point. « La sécurité doit être prise en compte dès les premières discussions importantes et tout au long de la phase de planification », déclare John D. Johnson, cadre supérieur chargé de la sécurité de l'information au sein d'une grande entreprise du secteur agroalimentaire.
De cette manière, ajoute-t-il, « nous sommes responsables si quelque chose se produit, et nous avons un rôle essentiel à jouer dans la protection de l'entreprise. » Il est impossible d'assurer efficacement la sécurité des nouvelles initiatives numériques en intervenant uniquement pour réparer les problèmes lorsqu'ils surviennent. « Nous devons prendre part à l'ensemble du débat afin de contribuer à définir une feuille de route plus sûre permettant à l'organisation de tirer parti du nouveau marché numérique. »
Intégrer la sécurité à tous les niveaux de l'organisation ne se limite pas à la prise de décision concernant l'ensemble du processus de transformation numérique. La sécurité doit également faire partie intégrante des décisions opérationnelles quotidiennes, telles que le choix des applications déployées par l'entreprise, les fonctionnalités ajoutées à ces applications, l'emplacement de stockage des données et les personnes autorisées à y accéder.
« Il faut que tout le monde avance dans la même direction et comprenne l’importance de la transformation de l’entreprise », explique Scott Crawford, responsable de la recherche en sécurité de l’information chez 451 Research. « Cela signifie que vous devez sensibiliser les utilisateurs et que vous devez vous employer à instaurer une culture d’entreprise saine et . »
Anticiper la sécurité
Si la sécurité doit être intégrée à tous les niveaux de votre transformation numérique, cela vaut tout particulièrement pour l’ , les processus DevOps et le développement d’applications logicielles. Wim Remes, PDG et fondateur de Wire Security, un cabinet de conseil en sécurité de l'information basé en Belgique, en a fait l'expérience personnellement. Selon lui, le DevOps peut permettre d’améliorer la qualité et la sécurité des logiciels de manière constante, mais « cela nécessite que les capacités de sécurité soient étroitement alignées sur le développement et les opérations informatiques, en tenant compte du modèle de menace des logiciels et en assurant une surveillance continue des défauts qui devront être corrigés ».
«. Toutes ces évolutions rapides ont bouleversé les approches traditionnelles en matière de sécurité. »Andy Ellis, responsable de la sécurité des systèmes d'information (RSSI) consultant chez Orca Security
Chris Blow, directeur de la sécurité offensive chez Liberty Mutual Insurance, partage cet avis et ajoute : « Lorsque la sécurité est correctement intégrée au processus de développement, la cyberdéfense est intégrée dès le début du cycle de développement, au lieu d'intervenir après le déploiement du logiciel. » « Cela permet un développement sécurisé, à la fois évolutif et rapide », explique M. Blow.
Automatisez tout ce que vous pouvez
Les processus manuels ne sont pas évolutifs ; d’où l’essor de l’automatisation des processus dans un large éventail d’applications d’entreprise et de flux de travail, du suivi comptable des factures à l’intégration des nouveaux collaborateurs par les RH. L'automatisation réduit les erreurs humaines, augmente la productivité et renforce la satisfaction professionnelle des employés en leur permettant de se consacrer à des tâches plus complexes. L'automatisation devrait également constituer un objectif pour l' en matière de cybersécurité.
Heureusement, le développement des interfaces de programmation d'applications (API) et la possibilité d'automatiser les opérations de sécurité — telles que les analyses de sécurité des applications, les évaluations des vulnérabilités du système et des configurations d' , ainsi que la gestion des droits d'accès des utilisateurs — rendent cela possible.
« Les entreprises doivent adopter une approche axée sur les tests et la validation continus et automatisés de la sécurité », déclare M. Crawford.
M. Ellis partage cet avis et ajoute : « Aujourd’hui, la sécurité repose en grande partie sur la capacité à automatiser. » Vous devez automatiser ces tâches afin de ne plus perdre de temps à effectuer des tâches répétitives. « Si vous ne le faites pas déjà, vous êtes à la traîne. » Pour prendre une longueur d'avance, ou du moins rattraper leur retard, il conseille aux équipes chargées de la sécurité et des technologies d'utiliser des API modernes et des fonctionnalités d'intégration afin de surveiller les configurations réseau à la recherche de failles de sécurité. « Il faut trouver le moyen de rendre les intégrations peu coûteuses et simples, afin de pouvoir les surveiller facilement », explique-t-il.
Veillez à respecter les règles d'hygiène
Lorsque les systèmes sont déployés rapidement, les principes fondamentaux de sécurité doivent également être mis en place sans délai. Cela signifie que les systèmes doivent être corrigés et mis à jour, que les configurations système doivent être correctement définies, que les terminaux et les réseaux doivent faire l'objet d'analyses à la recherche de menaces et de logiciels malveillants, que les données et les systèmes doivent être sauvegardés, et que les services inutiles doivent être désactivés, parmi de nombreux autres éléments essentiels à la santé de la sécurité.
«Les principes fondamentaux d’hygiène doivent être en place pour garantir l’agilité du système, car sans ces principes, il est difficile de mettre en œuvre des fonctionnalités plus sophistiquées dans le cadre d’une nouvelle initiative ou d’une transformation », explique M. Johnson, de Campbell.
M. Crawford est du même avis. « Il est important de prendre du recul et de s’assurer que vous disposez d’éléments tels qu’un inventaire cohérent des ressources en place, ainsi que des personnes chargées de leur maintenance et de leur sécurisation à mesure que l’environnement technologique évolue », explique-t-il.
Mettre l'accent sur les données réglementées à forte valeur ajoutée
Il existe un modèle statistique auquel les banquiers d'affaires ont recours pour quantifier l'ampleur des pertes éventuelles au sein d'une entreprise financière, d'un portefeuille ou d'une position sur une période donnée. On appelle cela la « valeur à risque » (VaR). Pour les responsables de la sécurité des systèmes d'information (RSSI) chargés d'évaluer les risques de sécurité de leur organisation, la VaR est devenue un outil de plus en plus important.
Les responsables de la sécurité doivent quantifier leurs risques numériques en fonction de la valeur des systèmes et des données, ce qui leur permet de prendre plus facilement des décisions en matière d'investissements dans la cybersécurité. Le modèle de VaR cybernétique de l' , disponible à l'adresse , prend en compte la perte financière potentielle causée par un incident de sécurité, sa durée et la probabilité qu'il se produise. Cela permet aux responsables de la sécurité des systèmes d'information (RSSI) d'aborder les risques liés à la cybersécurité dans un contexte d'entreprise avec les principaux dirigeants.
Il est essentiel de se concentrer sur les risques qui comptent vraiment. Si les équipes de sécurité souhaitent suivre le rythme des efforts de transformation numérique de leur entreprise, elles doivent bien maîtriser son niveau de risque. Sinon, ils seront submergés par l'inconnu.
« Les équipes de sécurité sont souvent trop peu nombreuses pour gérer tout ce qui se présente au quotidien au sein d’une organisation », explique M. Crawford. « Ainsi, s’ils essaient de tout protéger comme s’il s’agissait d’un secret d’État, ils ne parviendront probablement pas à protéger quoi que ce soit très efficacement pendant longtemps. »
